Sicherung des Einsatzortes

Die ersten Minuten am Einsatzort bestimmen maßgeblich, was eine Untersuchung erreichen kann. Ein unbedachter Klick, ein gut gemeintes Herunterfahren oder ein Eigentümer, dem erneut Zugang zur Tastatur gewährt wird, kann Beweismittel verändern oder zerstören, bevor jemand den ursprünglichen Zustand dokumentiert. Die Aufgabe der Erstzugriffskraft besteht darin, dies zu verhindern: die Sicherheit von Personen gewährleisten, den Bereich kontrollieren, vor jeder Berührung dokumentieren und den Zustand jedes Geräts festhalten. Die Gründe für Entscheidungen über das Ein- oder Ausschalten werden in Modul 1 behandelt, die rechtliche Befugnis zum Betreten und Durchsuchen in Modul 2.

Die Rolle der Erstzugriffskraft

ISO/IEC 27037 beschreibt zwei Rollen. Eine Erstzugriffskraft für digitale Beweismittel (DEFR) ist eine Person, die befugt, geschult und qualifiziert ist, am Einsatzort die ersten Maßnahmen zur Sicherstellung und Erfassung digitaler Beweismittel durchzuführen. Ein Spezialist für digitale Beweismittel (DES) verfügt über tiefergehendes technisches Wissen und kann Situationen bewältigen, die über die Fähigkeiten der DEFR hinausgehen, etwa die Erfassung von Live-Daten eines komplexen Servers. In einem kleinen Team kann eine Person beide Rollen übernehmen, doch die Unterscheidung ist hilfreich: Die Maßnahmen am Einsatzort müssen innerhalb der Fähigkeiten der ausführenden Person bleiben. Eine gute DEFR kennt diese Grenzen und zieht einen Spezialisten hinzu, statt zu improvisieren.

Sicherheit geht vor

Kein Beweismittel ist eine Verletzung wert. Prüfen Sie den Einsatzort zunächst auf Gefahren: beschädigte elektrische Geräte, freiliegende Leitungen, aufgeblähte oder überhitzte Lithiumbatterien, scharfe Gegenstände und mitunter feindselige Personen. An Geräten können sich auch klassische forensische Spuren wie Fingerabdrücke oder DNA befinden. Tragen Sie Handschuhe und stimmen Sie sich mit der Spurensicherung am Tatort ab, damit physische Spuren gesichert werden, ohne digitale Beweismittel zu beeinträchtigen, und umgekehrt.

Den Bereich und die Personen kontrollieren

• Halten Sie Personen von Computern, Telefonen und anderen Geräten fern und lassen Sie niemanden diese berühren, auch nicht den Eigentümer oder einen IT-Verantwortlichen.
• Notieren Sie, wer anwesend war, wer die einzelnen Geräte nutzt und wer vor Ihrem Eintreffen Zugang dazu hatte.
• Achten Sie auf Versuche, ein Gerät zu erreichen, jemanden anzurufen, der Daten aus der Ferne löschen könnte, oder kleine Gegenstände zu verstecken.
• Führen Sie ein Protokoll über alle Personen, die den Bereich betreten und verlassen.
• Stellen Sie, soweit zulässig, allgemeine Fragen zu Geräten, Konten und Passwörtern (Lektion 3.1).

Vor jeder Berührung dokumentieren

Fotos und Notizen halten den Einsatzort im vorgefundenen Zustand fest, damit spätere Fragen, etwa nach dem Bildschirminhalt, beantwortet werden können. Gehen Sie vom Allgemeinen zum Besonderen vor:

1. Übersichtsaufnahmen oder Videoaufnahmen des Raums, aus denen der Standort jedes Geräts hervorgeht.
2. Jedes Gerät von vorne und hinten, einschließlich Bildschirmen, Kabeln, Anschlüssen und angeschlossenen Peripheriegeräten.
3. Der Bildschirm jedes laufenden Geräts, aus ausreichender Nähe, um den Inhalt lesen zu können.
4. Jedes Kabel, an beiden Enden mit dem Anschluss gekennzeichnet, mit dem es verbunden war, bevor etwas abgezogen wird.
5. Eine einfache Skizze mit den Gerätepositionen und den zu vergebenden Asservatennummern.

Erfassen Sie die Uhrzeit jedes Schritts anhand einer verlässlichen Zeitquelle und notieren Sie die von jedem Gerät angezeigte Uhrzeit. Die Differenz ist später bei der Analyse von Zeitstempeln wichtig (Modul 6).

Eingeschaltete, ausgeschaltete und dazwischenliegende Gerätezustände

Modul 1 erklärt, warum laufende und ausgeschaltete Geräte unterschiedlich behandelt werden. Am Einsatzort kommt es auf die praktische Maßnahme und deren Dokumentation an.

Bei Telefonen ist besondere Sorgfalt erforderlich: Ein Telefon, das aus- und wieder eingeschaltet wird, kehrt in der Regel in einen Zustand zurück, in dem der Großteil seiner Daten bis zur Eingabe des Entsperrcodes verschlüsselt bleibt. Bei Laptops, deren Akku sich nicht entfernen lässt, erzwingt das Gedrückthalten des Ein-/Ausschalters das Ausschalten des Systems. Server, auf denen geschäftliche Dienste laufen, sind ein gesonderter Fall (Lektion 3.3).

Was Sie nicht tun sollten

• Durchsuchen Sie keine Dateien, lesen Sie keine Nachrichten, öffnen Sie keine Anwendungen und prüfen Sie nicht „nur noch eine Sache“. Jede Handlung verändert Daten und Zeitstempel.
• Schließen Sie keine USB-Laufwerke oder anderen Geräte an, es sei denn, dies ist ein bewusster, dokumentierter Schritt einer Datenerfassung.
• Führen Sie keine Antiviren- oder Bereinigungsprogramme aus. Sie können Dateien in Quarantäne verschieben oder löschen und deren Metadaten verändern.
• Fahren Sie einen Computer nicht über sein Menü herunter, ohne zuvor Verschlüsselung und flüchtige Daten zu berücksichtigen.
• Lassen Sie das Gerät nicht vom Eigentümer oder einem hilfsbereiten Kollegen für Sie bedienen.

Geräte von Netzwerken isolieren

Die Isolierung unterbindet Fernzugriff, Synchronisierung und Befehle zur Fernlöschung. In der Praxis:

• Kabelgebundene Verbindungen: Fotografieren und kennzeichnen Sie das Netzwerkkabel, ziehen Sie es dann vom Gerät ab und dokumentieren Sie die Uhrzeit.
• Telefone und Tablets: Aktivieren Sie den Flugmodus und vergewissern Sie sich, dass auch WLAN und Bluetooth ausgeschaltet sind, da diese bei vielen Telefonen im Flugmodus eingeschaltet bleiben können; alternativ legen Sie das Gerät in eine HF-Abschirmtasche (Lektion 3.3). Dokumentieren Sie jede Interaktion mit dem Gerät.
• Von einer Organisation verwaltete Geräte: Bitten Sie das IT-Team über eine autorisierte, nicht in den Sachverhalt verwickelte Kontaktperson, Fernsperr- oder Fernlöschbefehle aus dem Geräteverwaltungssystem auszusetzen.
• Der Router: Durch das Ausschalten wird alles auf einmal isoliert, doch der Router kann flüchtige Protokolle und Clientlisten enthalten (Lektion 3.1). Dokumentieren oder sichern Sie daher zuerst die benötigten Informationen.

Identifikationsmerkmale und Zustände erfassen

Erfassen Sie für jedes Gerät Hersteller, Modell, Seriennummer, eine gegebenenfalls vorhandene Inventarkennzeichnung und bei Telefonen die IMEI (die eindeutige Kennung des Mobiltelefons), die häufig auf einem Etikett, dem SIM-Kartenfach oder der Verpackung aufgedruckt ist. Ergänzen Sie den Zustand: eingeschaltet, ausgeschaltet oder im Ruhezustand; gesperrt oder entsperrt; Akkustand; ob es geladen wird; Netzwerkverbindungen; sowie alles, was auf dem Bildschirm angezeigt wird. Ein vorgedrucktes Formular hilft dabei, nichts zu übersehen und die Aufzeichnungen der Teammitglieder einheitlich zu halten (Modul 5).

Ein Fallszenario

Ermittler von Northline Freight treffen in einem Buchhaltungsbüro des Unternehmens ein, um Beweismittel zu manipulierten Lieferantenzahlungen zu sichern. Ein Mitarbeiter sitzt an dem Schreibtisch, zu dem die Aktivitäten zurückverfolgt wurden.

1. Die DEFR bittet den Mitarbeiter, vom Schreibtisch zurückzutreten, und notiert, wer sich sonst noch im Raum befindet.
2. Der Raum, der Schreibtisch und die Bildschirme werden fotografiert. Der Desktopcomputer ist eingeschaltet, die Buchhaltungsanwendung ist geöffnet, ein USB-Laufwerk steckt in einem vorderen Anschluss und ein Telefon liegt auf dem Schreibtisch.
3. Der Bildschirm wird fotografiert, ohne Maus oder Tastatur zu berühren. Der Datenträger ist verschlüsselt, daher ruft die DEFR den Spezialisten hinzu, der entscheidet, ob der Arbeitsspeicher vor dem Trennen der Stromversorgung gesichert werden soll (Modul 4).
4. Das Telefon wird fotografiert, von Netzwerken isoliert und an eine Powerbank angeschlossen.
5. Ein Haftzettel unter der Tastatur, auf dem offenbar ein Passwort steht, wird an seinem Fundort fotografiert und dokumentiert.
6. Ein kleines NAS in einem Schrank wird fotografiert, und seine Kabel werden gekennzeichnet; der IT-Verantwortliche bestätigt, dass es die Bürocomputer sichert.
7. Seriennummern, Zustände und Uhrzeiten werden auf dem Einsatzortformular erfasst, bevor etwas verpackt wird (Lektion 3.3).

Prüfungsschwerpunkt: Sie sollten die Rolle der Erstzugriffskraft für digitale Beweismittel (DEFR) erklären können und wissen, wie sie sich gemäß ISO/IEC 27037 vom Spezialisten für digitale Beweismittel (DES) unterscheidet. Rechnen Sie mit Szenariofragen zur Reihenfolge der ersten Maßnahmen (Sicherheit, Kontrolle der Personen, Fotos vor jeder Berührung), zum Umgang mit eingeschaltet oder ausgeschaltet vorgefundenen Geräten, zu unzulässigen Handlungen (Durchsuchen, Anschließen von USB-Laufwerken, Ausführen von Antivirenprogrammen, unüberlegtes Herunterfahren), zur praktischen Netzwerkisolierung und ihren Vor- und Nachteilen sowie zu den zu erfassenden Identifikationsmerkmalen und Zuständen.